Deteksi Layanan dan OS

Mengetahui bahwa sebuah port terbuka belum cukup. Anda perlu mengetahui perangkat lunak apa yang mendengarkan dan versinya, karena eksploit menargetkan versi tertentu.

Deteksi layanan dan pengenalan sidik jari OS Nmap mengubah daftar port terbuka menjadi informasi yang dapat ditindaklanjuti.

Bendera -sV memeriksa port terbuka dan mencocokkan respons dengan basis data Nmap untuk mengidentifikasi layanan dan versinya, misalnya 'OpenSSH 8.2p1' atau 'Apache httpd 2.4.41'.

Nmap mengirim serangkaian probe dan membandingkan responsnya (spanduk, perilaku, pesan kesalahan) dengan ribuan tanda tangan dalam nmap-service-probes.

Pengambilan spanduk dan pencocokan perilaku ini mengidentifikasi layanan bahkan pada port nonstandar, seperti server HTTP yang berjalan pada port 8000.

Anda dapat mengatur seberapa keras Nmap mencoba dengan --version-intensity (0 hingga 9):

• Lebih rendah: lebih sedikit probe, lebih cepat, tetapi versi mungkin terlewatkan.
• Lebih tinggi: lebih banyak probe, lebih lambat, tetapi lebih akurat.

Pintasan: --version-light (intensitas 2) dan --version-all (intensitas 9).

Bendera -O mengaktifkan pengenalan sidik jari OS. Nmap memeriksa perbedaan kecil dalam cara tumpukan TCP/IP merespons dan mencocokkannya dengan basis data tanda tangan OS.

Nmap melaporkan tebakan terbaik beserta persentase keakuratannya, serta perkiraan jenis perangkat dan waktu aktif jika tersedia.

Setiap OS menerapkan TCP/IP dengan sedikit perbedaan. Nmap memeriksa karakteristik seperti:

• Nilai TTL awal.
• Ukuran jendela TCP.
• Cara tumpukan menangani kombinasi bendera yang tidak biasa.
• Urutan opsi TCP.

Perbedaan kecil ini membentuk sidik jari yang cukup unik untuk menebak keluarga dan versi OS.

Deteksi OS adalah tebakan terbaik, bukan kepastian. Keakuratan menurun ketika:

• Tembok api menyaring probe yang diandalkan Nmap.
• Host menjalankan tumpukan yang tidak biasa atau tervirtualisasi.
• Hanya sedikit port yang terbuka untuk dijadikan dasar pengenalan sidik jari.

Opsi --osscan-guess membuat Nmap menebak dengan lebih agresif ketika tidak yakin.

Dalam praktiknya, Anda menggabungkan opsi deteksi. Bendera -A adalah pintasan yang mengaktifkan deteksi OS, deteksi versi, skrip bawaan, dan traceroute secara bersamaan.

Versi yang tepat menentukan langkah Anda berikutnya. Dengan 'vsftpd 2.3.4', Anda langsung teringat backdoor terkenal; dengan 'Apache 2.4.49', Anda memikirkan CVE terkait traversal jalur.

Data versi yang akurat memungkinkan Anda mencari eksploit yang sesuai alih-alih mencoba serangan secara membabi buta. Data ini juga langsung menjadi bagian dari bagian kerentanan dalam laporan Anda.

Selalu simpan keluaran pemindaian untuk analisis dan pelaporan. Nmap mendukung beberapa format:

• -oN teks biasa.
• -oX XML (untuk alat).
• -oG yang dapat dicari.
• -oA semua format sekaligus.

Terkadang Anda perlu mengonfirmasi layanan secara manual. Menghubungkan klien mentah dan membaca salam (spanduk) akan langsung mengungkap perangkat lunak dan versinya.

Alat seperti netcat memungkinkan Anda melakukan ini untuk layanan teks biasa. Ini merupakan pemeriksaan cepat ketika tebakan Nmap tampak keliru, meskipun kini banyak layanan menyembunyikan atau memalsukan spanduknya untuk menyesatkan penyerang.

Identifikasi bendera yang melakukan paling banyak hal sekaligus.

Anda telah mempelajari pengenalan sidik jari:

• -sV mendeteksi versi layanan melalui pencocokan probe/spanduk; sesuaikan dengan --version-intensity.
• -O melakukan deteksi OS menggunakan pengenalan sidik jari tumpukan TCP/IP; hasilnya merupakan tebakan terbaik.
• -A menggabungkan OS, versi, skrip, dan traceroute.
• Versi yang tepat membantu memilih eksploit; simpan keluaran dengan -oA.

Berikutnya: Nmap Scripting Engine untuk otomatisasi yang lebih mendalam.